LipeOzyy/entropic_devourer

 # Entropic Devourer 该工具专为工件混淆的研究和实验而设计，能够使用 IPv4、IPv6、MAC 地址、RC4 和可变密钥 XOR 等格式生成混淆例程，并能自动生成相应的 C 语言解码器。其目标是实际探索如何转换敏感数据（如 C2 字符串或 payload），以降低可读性并阻碍静态分析，从而使分析人员和自动化工具对代码的理解变得显著复杂。 该工具被设计为用于研究攻击和规避技术的技术实验室，使用户能够通过实践了解微小的结构变换如何影响检测机制和逆向工程流程。其目的是增强进攻性安全知识，加强对现实场景中工件如何被保护或分析的理解，始终保持教育重点和负责任的使用态度。 ## 用法 ### 前置条件 - Linux - GCC - `make` - OpenSSL 开发库 (`libssl-dev`) - 二进制 payload/shellcode 文件（例如 `shellcode.bin`） ### 构建  ``` make ``` 生成的二进制文件： `Entropic_Devourer/entropic_devourer`  ### 运行 命令行界面： ``` ./Entropic_Devourer/entropic_devourer [options] [format] ./Entropic_Devourer/entropic_devourer --help ./Entropic_Devourer/entropic_devourer --version ``` #### 通用选项 - `-h`, `--help` 显示帮助信息并退出 - `-v`, `--version` 打印版本信息 - `-c`, `--config FILE` 从配置文件读取默认设置（选项/格式） - `-q`, `--quiet` 抑制信息性消息 如果未提供 `--config`，程序将自动查找 `$HOME/.entropicdevourerrc`。配置文件示例： ``` # 默认使用 aes256 fuscation 并输出文本 option = aes256 format = text aes256_key = mysecretkey # only relevant when option is "aes256" xor_key = 0x5A # only relevant when option is "xor" # rc4_key = secret # 也可在 option = "rc4" 时使用 ``` #### 混淆选项 - `mac`, `macfuscation` - `ipv4`, `ipv4fuscation` - `ipv6`, `ipv6fuscation` - `xor`, `xorfuscation` (十六进制 0xNN 或字面字符串) - `rc4`, `rc4fuscation` (十六进制 0xNN 或字面字符串) - `aes256`, `aesfuscation` (十六进制 0xNN 或字面字符串) - AES-256-CBC 加密 - `bytes`, `byte`, `array` #### 解混淆辅助 您可以要求工具生成 C 语言解码器函数，而不是处理 payload。`-d` / `--desobfuscate` 选项接受相同的类型 （`ipv4`, `ipv6`, `mac`, `xor`, `rc4`, `aes256`）。对于 XOR/RC4/AES256，您还必须使用 `-k` 传递密钥。 ``` ./Entropic_Devourer/entropic_devourer -d ipv4 ./Entropic_Devourer/entropic_devourer -d xor -k 0x5A ./Entropic_Devourer/entropic_devourer -d aes256 -k "mysecretkey" ``` #### 格式 - `exec` 或 `c`（默认）：生成带有解码器 + 执行流程的 C 源代码 - `text` 或 `txt`：仅生成混淆块 (`const char* ...[] = { ... };`) - `json` 或 `jason`：将混淆数据生成为 JSON 调用示例： ``` ./Entropic_Devourer/entropic_devourer shellcode.bin ipv4 ./Entropic_Devourer/entropic_devourer shellcode.bin ipv4 text ./Entropic_Devourer/entropic_devourer shellcode.bin ipv4 json ./Entropic_Devourer/entropic_devourer shellcode.bin xor secret ./Entropic_Devourer/entropic_devourer shellcode.bin rc4 s3cr3t ./Entropic_Devourer/entropic_devourer shellcode.bin aes256 mysecret ./Entropic_Devourer/entropic_devourer shellcode.bin aes256 mysecret text ./Entropic_Devourer/entropic_devourer -d ipv4 ./Entropic_Devourer/entropic_devourer -d xor -k 0x5A ./Entropic_Devourer/entropic_devourer -d aes256 -k "mysecretkey" ``` 对于 `bytes|byte|array`，该工具生成一个名为 `_bytes.txt` 的 C 字节数组文件。 示例： ``` ./Entropic_Devourer/entropic_devourer --help ./Entropic_Devourer/entropic_devourer --version ./Entropic_Devourer/entropic_devourer shellcode.bin ipv4 ./Entropic_Devourer/entropic_devourer shellcode.bin ipv6 ./Entropic_Devourer/entropic_devourer shellcode.bin mac ./Entropic_Devourer/entropic_devourer shellcode.bin xor -k 0x5A ./Entropic_Devourer/entropic_devourer shellcode.bin rc4 secretkey ./Entropic_Devourer/entropic_devourer shellcode.bin aes256 secretkey ./Entropic_Devourer/entropic_devourer shellcode.bin aes256 secretkey text ./Entropic_Devourer/entropic_devourer shellcode.bin aes256 secretkey json ./Entropic_Devourer/entropic_devourer shellcode.bin ipv4 text ./Entropic_Devourer/entropic_devourer shellcode.bin ipv6 text ./Entropic_Devourer/entropic_devourer shellcode.bin mac text ./Entropic_Devourer/entropic_devourer shellcode.bin ipv4 json ./Entropic_Devourer/entropic_devourer script.py bytes ``` 生成的输出文件（取决于所选选项）： - `ipv4_shellcode.c`, `ipv4_shellcode.txt`, `ipv4_shellcode.json` - `ipv6_shellcode.c`, `ipv6_shellcode.txt`, `ipv6_shellcode.json` - `mac_shellcode.c`, `mac_shellcode.txt`, `mac_shellcode.json` - `xor_shellcode.c`, `xor_shellcode.txt`, `xor_shellcode.json` - `rc4_shellcode.c`, `rc4_shellcode.txt`, `rc4_shellcode.json` - `aes256_shellcode.c`, `aes256_shellcode.txt`, `aes256_shellcode.json` - `_bytes.txt` 清理构建和生成的工件： ``` make clean ``` ## 发现问题？ 如果您发现任何错误、意外行为，或发现某些可以改进的地方，请联系。 反馈对于保持项目的一致性和持续发展至关重要。 ## 参考 - https://github.com/NUL0x4C/HellShell/tree/main - https://github.com/midisec/BypassAnti-Virus - https://www.bleepingcomputer.com/news/security/hive-ransomware-uses-new-ipfuscation-trick-to-hide-payload/

标签：ATT&CK模拟, C2混淆, DNS 反向解析, IPv6混淆, MAC地址混淆, OpenSSL, Payload编码, RC4加密, TGT, XOR编码, 中高交互蜜罐, 二进制分析, 云安全运维, 云资产清单, 代码混淆, 安全测试工具, 客户端加密, 恶意软件开发, 攻防演练, 网络安全, 自动化解码器, 逆向工程, 防御规避研究, 隐私保护, 静态分析规避